PT-2026-92053

CVE-2026-91933

Publicado

2026-09-15

Atualizado

2026-09-15

Descrição por

CVSS 4.0

7.6

Alta

MétricasAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.4

Descrição Usuários autenticados podem acessar ferramentas de ChatFlows em outros espaços de trabalho devido a uma falha na aplicação de verificações de autorização no nível do workspace nos endpoints openai-realtime. Ao fornecer a variável chatflowid sem escopo, um invasor pode usar requisições GET e POST para recuperar definições de ferramentas e executar ferramentas de workspaces de vítimas, o que pode causar efeitos colaterais externos e a exposição de saídas de ferramentas sensíveis. Este problema foi explorado em incidentes reais.

Recomendações Atualize para a versão 3.1.4 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

C4Tzzz

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-639: Authorization Bypass Through User-Controlled Key

Identificadores relacionados